Quejas que desarrolladores de habla inglesa publicaron entre el 2 y el 4 de noviembre de 2026, resumidas abajo con enlaces a las publicaciones originales. Cada respuesta usa solo lo que el sitio y la documentación públicos de PoYo dicen hoy, y enlaza la página de la que sale. Donde la documentación no cubre algo, lo decimos.

Q1. LLMjacking: claves robadas, 100.000 USD en un día, hasta cerca de 1 millón de USD antes de que alguien revoque.

De qué se quejan los desarrolladores: La cobertura de Google Threat Intelligence / Mandiant sobre LLMjacking ocupó los feeds en inglés. Los atacantes roban tokens de nube y claves de API de LLM, revenden el acceso y dejan a las víctimas cargos fraudulentos de más de 100.000 USD en un solo día y hasta cerca de 1 millón de USD antes de cortar el acceso (@DarkWebInformer, @NedPeterson99, @michaeloroberts, @niconuzzi). Los hilos de Reddit sobre claves de OpenRouter y Claude repiten el mismo modo de fallo: desactivar no siempre basta. Hay que borrar o rotar, y las alertas suaves de presupuesto no detienen el gasto de forma dura (r/openrouter, r/AI_Agents).

Cómo responde PoYo: Trate cada clave de PoYo como efectivo en su servidor. Primeros pasos dice que nunca ponga claves en código de frontend, apps móviles ni repositorios públicos. Controles documentados del radio de impacto en la página de claves de API:

1. Revocar / rotar de inmediato las claves comprometidas (borrarlas, no solo «pausarlas» en la cabeza).
2. Activar una lista de IP permitidas para que una clave copiada solo funcione desde IP de servidor aprobadas.
3. Fijar topes de uso por hora / por día / totales por clave, para que un secreto que quede tenga techo.
4. Enviar X-End-User-ID en la generación y en el chat nativo para bloquear a un llamador abusivo con 403 end_user_blocked sin rotar cada integración (identificación del usuario final).
5. Vigilar GET /api/user/balance y detenerse en 402 insufficient_credits_error (saldo de usuario, códigos de error).

La facturación es de créditos prepago por salida correcta. Las tareas de generación fallidas no se cobran (página de inicio, llms.txt). La documentación pública no promete reembolsos por el uso hecho con una clave filtrada. Escriba a [email protected] si cree que una clave de PoYo se usó mal (Primeros pasos).

Q2. Plantar una clave falsa compatible con OpenAI en un repositorio público: recogida en menos de dos horas.

De qué se quejan los desarrolladores: Un experimento de honeypot: una clave de API falsa compatible con OpenAI sembrada en repositorios públicos se usó en menos de dos horas, y después vinieron enumeración de modelos y prompts de prueba para comprobar qué servía de verdad el endpoint (@polydaic). La misma semana, quienes construyen repetían que las claves en bundles de cliente o en historial antiguo de git siguen vivas hasta que las borra.

Cómo responde PoYo: Mantenga las claves de PoYo solo en el servidor (Primeros pasos). Dé por quemado cualquier secreto que haya llegado a un commit público:

1. Rotar la clave en la página de claves de API y emitir una nueva para el backend real.
2. Cerrar el reemplazo con lista de IP y topes por hora / por día / totales por clave.
3. En proxies multiinquilino, exigir X-End-User-ID y bloquear abusos con 403 sin rotar toda la clave (identificación del usuario final).
4. Alertar cuando baje GET /api/user/balance y tratar el 402 como parada dura (saldo de usuario, códigos de error).

PoYo no documenta un producto de «clave honeypot» ni un escaneo automático de secretos de su GitHub. Eso queda de su lado. Las tareas de generación fallidas siguen sin cobrarse (llms.txt).

Q3. Cadenas de suministro al estilo GhostAction: configuraciones MCP y tokens de plataformas de IA en el radio de impacto.

De qué se quejan los desarrolladores: Publicaciones de seguridad describieron compromisos de la cadena de suministro de GitHub al estilo GhostAction (cientos de cuentas y repositorios) que buscan en concreto configuraciones MCP, tokens de plataformas de IA y claves SSH (@morphisec). Publicaciones vecinas avisaron de que, una vez secuestrado un panel o un host de agente, siguen claves SSH plantadas y credenciales de API robadas (@PacketReport1).

Cómo responde PoYo: Una clave de PoYo en una configuración MCP, un host de agente o un secreto de CI sigue siendo una cartera prepago. Mitigaciones documentadas:

• No haga commit de claves. Manténgalas fuera del frontend y de los repositorios públicos (Primeros pasos).
• Separe claves por entorno con lista de IP y topes por hora / por día / totales (página de claves de API).
• Prefiera el MCP alojado de PoYo con una clave que usted controle y pueda rotar (Conectar con MCP, Autenticación).
• Ante la sospecha: rote, apriete topes e IP, revise GET /api/user/balance y abra [email protected] si hace falta.

La documentación pública no afirma detección automática de GitHub Actions o hosts MCP comprometidos, y no promete reembolsos por tráfico que usó una clave todavía válida.

Q4. Un «llm-key-rotator» casero: cuando una clave da 429, pasar a la siguiente.

De qué se quejan los desarrolladores: Publicaciones de código abierto y de trucos empujaban pasarelas pequeñas que rotan claves de API cuando una alcanza su límite de tasa (@jojeangsaing). La charla de operaciones cercana trataba los muros de RPM por clave y los 429 de pools compartidos como algo que se tapa con más claves, en lugar de arreglarlo en la capa de producto.

Cómo responde PoYo: Rotar claves alrededor de un 429 puede ocultar el problema equivocado. En PoYo, separe los códigos (códigos de error):

Valores por defecto de generación: hasta 20 solicitudes nuevas de /api/generate/submit cada 10 segundos por cuenta. El exceso devuelve 429 y no entra en la cola. Los endpoints de LLM no tienen límite de tasa en este momento (Primeros pasos). Prefiera una clave con topes documentados a una granja de rotadores (página de claves de API). La documentación describe sin conmutación automática entre laboratorios. Cambie el ID de modelo en el cliente si necesita otro proveedor. Las tareas de generación fallidas no se cobran (llms.txt).

Q5. La misma ventana de rebuild: Gemini 503 de upstream, DeepSeek 429, y el nivel gratuito también 429.

De qué se quejan los desarrolladores: Un registro de rebuild listó fallos concretos en una ventana: gemini-4-barium → 503 / upstream no disponible tras el backoff, deepseek-v4-flash → 429, y una ruta gratuita de DeepSeek también en 429, y después un solo reintento de enfriamiento antes de publicar lo que aún funcionaba (@KeyoAPI). Los 429 en ráfaga de imagen y TTS de Gemini siguen siendo un tema fijo de Reddit sobre cupos de nivel de crédito y de vista previa (r/googlecloud, r/Bard).

Cómo responde PoYo: Asigne los reintentos a los códigos documentados (códigos de error):

• 429 → cola / backoff exponencial (generación: 20 solicitudes / 10 s por defecto; LLM sin límite de tasa por ahora) (Primeros pasos).
• 402 → recargar créditos. Nunca tratarlo como límite de tasa (saldo de usuario).
• 502 / 503 → upstream o ocupación transitorios. Backoff y reintento.

Una clave de PoYo cubre chat (compatible con OpenAI / Claude Messages / nativo de Gemini) más el envío y el estado asíncronos de medios (llms.txt, visión general de la API). Esquemas y precios en vivo de los modelos: https://poyo.ai/models/<id>/llms.txt. En trabajos largos, prefiera webhooks al sondeo agresivo. La documentación no afirma una conmutación transparente entre laboratorios ni un SLA publicado de un pool gratuito compartido. Primeros pasos indica que la estabilidad puede ser algo menor que la de los proveedores oficiales.

Q6. La cuenta de la caché de Claude: el panel muestra cero lecturas de caché mientras cada escritura se cobra a 1,25×.

De qué se quejan los desarrolladores: Los hilos de facturación de la API de Claude avisaban de que un cache_control mal colocado puede dejar las lecturas de caché en cero mientras cada escritura se factura con un multiplicador de 1,25×. Así, «activé la caché» sigue significando una entrada casi a precio completo en cada turno (@webtkdev). Por separado, la beta de Anthropic Message Threads se presentó como forma de dejar de reenviar toda la transcripción del agente en cada turno (@readmodelmag).

Cómo responde PoYo: El chat de PoYo son créditos prepago por salida correcta de una sola cartera, no un plan de consumo mezclado con un libro de caché de Platform (página de inicio, llms.txt). Elija un ID de modelo de Claude (u otro), llame a Chat Completions / Messages / nativo de Gemini como está documentado y lea el precio en vivo en https://poyo.ai/models/<id>/llms.txt (modelos de chat, Anthropic). Tope los agentes desbocados con límites por hora / por día / totales por clave (página de claves de API). El saldo vacío devuelve 402 (códigos de error).

La documentación pública de PoYo no documenta los multiplicadores de caché de prompts de Anthropic, la semántica de Message Threads ni un panel propio de «porcentaje de aciertos de caché». Si le importan las reglas de facturación upstream de un modelo, compruébelas en el llms.txt de ese modelo y en la documentación del proveedor antes de dar por hecho un descuento.

Q7. «¿Estoy recibiendo de verdad el modelo por el que pagué?» Ansiedad por la autenticidad del agregador.

De qué se quejan los desarrolladores: Quienes construyen preguntaron cómo se sabe que un revendedor o un router (OpenRouter citado por su nombre) devuelve el mismo modelo que se eligió y se pagó. La verificación al estilo «FlashProve» de Anthropic se planteó como lo que cubre ese hueco (@shlokafc, @AgentFilipHQ). La confianza en los proveedores de inferencia es ya un requisito de producto, no una nota al pie.

Cómo responde PoYo: PoYo es una clave de API unificada para imagen, vídeo, música, 3D y chat (visión general de la API, llms.txt). Usted pasa un ID de modelo explícito. Cada modelo publica un esquema y un archivo de precios en vivo en https://poyo.ai/models/<id>/llms.txt. Los medios usan un flujo asíncrono submit → status / webhook. El chat usa los endpoints documentados con forma de OpenAI, Claude o Gemini.

Lo que la documentación pública no afirma hoy: un producto criptográfico de atestación «esta respuesta la firmó el laboratorio X», conmutación automática y transparente entre laboratorios, o un SLA publicado de un pool gratuito multiinquilino. Primeros pasos fija expectativas realistas de estabilidad frente a los proveedores oficiales. Las tareas de generación fallidas no se cobran (página de inicio). Tope las claves y consulte GET /api/user/balance (página de claves de API, saldo de usuario).

Q8. Los agentes ya acuñan la mayoría de los tokens, y los presupuestos suaves no detienen en seco un bucle desbocado.

De qué se quejan los desarrolladores: Las cifras de IA empresarial de 2026 de Menlo Ventures circularon con fuerza: el gasto empresarial en IA saltó, Anthropic se llevó una parte grande del gasto en API de LLM y los agentes generan ahora cerca del 80 % de los tokens (@guilleflorvs, @MenloVentures). Las comparaciones de coste mostraron brechas enormes entre Claude y DeepSeek en la misma carga (@aetherfrontier). En Reddit se argumentó que los grandes proveedores siguen ofreciendo alertas y presupuestos suaves, pero no un tope absoluto duro de gasto, de modo que una cuenta hackeada o un bucle de agente atascado aún puede imprimir una factura de seis cifras (r/AI_Agents).

Cómo responde PoYo: La cuenta de precio por token no pone techo al gasto mensual. El saldo de créditos y los topes de clave sí. Controles operativos documentados hoy:

• Créditos prepago que no caducan, sin suscripción (página de inicio).
• Topes por hora / por día / totales por clave (página de claves de API).
• GET /api/user/balance antes de lotes grandes de agentes (saldo de usuario).
• Trate el 402 como parada dura y el 429 como bajar el ritmo y reintentar (códigos de error).
• No reenvíe a ciegas el trabajo de generación: los reintentos de envío no se deduplican y pueden crear otra tarea (Primeros pasos).
• En trabajos largos de medios, prefiera webhooks. Las tareas fallidas no se cobran (llms.txt). Los medios generados se conservan 3 días. Descárguelos pronto (Primeros pasos, modelos de vídeo).

No hay un producto documentado de «condición de parada» del agente que mate por usted un bucle de herramientas desbocado. Ponga topes de clave y construya límites de pasos y de presupuesto en el cliente si lo necesita. La documentación pública no promete reembolsos por bucles que gastaron los créditos de una clave válida.

Mapa rápido

Consulte modelos y precios en vivo en poyo.ai, los esquemas en llms.txt y el índice completo de la documentación en docs.poyo.ai/llms.txt.